如何基于多列条件关联表实现仪表盘行级安全（RLS）？

现有表结构 #

用户权限表（User Access） #

分支表（Branch） #

预期权限结果 #

需通过RLS过滤事实表，最终用户可访问的分支如下：

遇到的问题 #

尝试直接关联两张表，但因存在Branch、Region、Country多维度匹配条件无法实现；使用以下DAX代码生成权限表时结果不符合预期：

RLS = 
    COUNTROWS(
        GENERATE(
            'User Access',
            FILTER(
                'Branch',
                'User Access'[BRANCH] = 'Branch'[BRANCH] ||
                'User Access'[COUNTRY] = 'Branch'[COUNTRY] ||
                'User Access'[REGION] = 'Branch'[REGION]
            )
        )
    )

解决方案 #

1. 生成用户-分支权限映射表 #

使用以下DAX创建权限映射表，处理All的匹配逻辑并去重：

用户分支权限 = 
DISTINCT(
    SELECTCOLUMNS(
        GENERATE(
            'User Access',
            FILTER(
                'Branch',
                -- 分支匹配：权限为All 或 分支名称一致
                ('User Access'[Branch] = "All" || 'User Access'[Branch] = 'Branch'[Branch]) &&
                -- 区域匹配：权限为All 或 区域名称一致
                ('User Access'[Region] = "All" || 'User Access'[Region] = 'Branch'[Region]) &&
                -- 国家匹配：权限为All 或 国家名称一致
                ('User Access'[Country] = "All" || 'User Access'[Country] = 'Branch'[Country])
            )
        ),
        "User", 'User Access'[User],
        "Branch", 'Branch'[Branch]
    )
)

2. 事实表RLS过滤器配置 #

在事实表的RLS角色中使用以下过滤器，限制当前用户仅能访问权限内的分支：

VAR 当前用户 = USERPRINCIPALNAME() -- 替换为你的用户标识字段
VAR 允许访问的分支 = 
    CALCULATETABLE(
        DISTINCT('Branch'[Branch]),
        FILTER(
            CROSSJOIN('User Access', 'Branch'),
            'User Access'[User] = 当前用户 &&
            ('User Access'[Branch] = "All" || 'User Access'[Branch] = 'Branch'[Branch]) &&
            ('User Access'[Region] = "All" || 'User Access'[Region] = 'Branch'[Region]) &&
            ('User Access'[Country] = "All" || 'User Access'[Country] = 'Branch'[Country])
        )
    )
RETURN
    '事实表'[Branch] IN 允许访问的分支

关键修正说明 #

• 原代码未处理All的匹配规则，导致权限范围错误
• 原代码使用||（或）逻辑，错误地将满足任一条件的分支纳入权限，实际需每条权限记录的三个条件同时生效
• 添加DISTINCT去重，避免同一用户同一分支被多条权限记录重复匹配

内容的提问来源于stack exchange，提问作者Zabman